Al ser un proceso continuo que debe revisarse y mantenerse, la gestión de la seguridad de la información constituye un conjunto de engranajes compuestos por distintos factores y elementos. El planeamiento, la asignación, la evaluación y la auditoría son solo algunos de los aspectos a considerar al implementar un buen SGSI o Sistema de Gestión de la Seguridad de la Información.
Esto implica diseñar, implementar y mantener una serie de procesos que permitan gestionar de manera eficiente la información, para asegurar su integridad, confidencialidad y disponibilidad. Si bien es posible implementar los lineamientos de ISO 27001, COBIT, NIST o cualquier framework similar para seguir estándares confiables y funcionales, también se puede crear un modelo propio de gestión, siempre y cuando se consideren todos los factores esenciales del ciclo para que el sistema sea eficiente.
La siguiente infografía detalla cada uno de ellos:
Así, vemos que no es necesario ser una gran corporación para implementar un buen SGSI, contrario a lo que se cree en muchos casos. En algunos casos, es posible aplicar unos pocos principios en lugar de un SGSI completo para conseguir mejoras significativas. Para esto se podrán obviar las formalidades del cumplimiento de una norma, pero sin dejar de seguir sus lineamientos principales.
Con ellos, no solo se protegerá la información digital en forma de bits almacenados en computadoras o dispositivos móviles, sino también la que está impresa en papel y todo lo que constituya un activo importante para la compañía. La clave, entonces, está en definir qué se quiere proteger y proceder a implementar los controles adecuados para hacerlo. Luego, revisar constantemente la aplicación de este conjunto de medidas, realizar auditorías y trabajar en mejoras.
Si concebimos entonces al SGSI como el centro de la gestión, tendremos cuatro ejes a su alrededor:
- Planear: definir los pasos a seguir, cuáles van a ser los activos a proteger, de qué manera y quienes serán los encargados de llevarlo a cabo.
- Implementar: poner en práctica todos los controles establecidos durante el planeamiento y gestionar la seguridad de manera cotidiana.
- Monitorear y medir: revisar el correcto funcionamiento de lo que fue planteado, además de medir el éxito de la gestión mediante parámetros establecidos previamente.
- Mantener y mejorar: una vez hecha la verificación y medición de los resultados obtenidos, se debe retroalimentar el proceso con mejoras que deberán ser planificadas, puestas en marcha y revisadas.
Con un buen SGSI o Sistema de Gestión de la Seguridad de la Información implementado, la información de la compañía estará al resguardo día a día, permitiendo que su funcionamiento habitual se lleve a cabo sin preocupaciones.
